Vanderbilt, Copenhagen bị tấn công: bài học cho đại học Việt Nam

Hai sự cố trong vòng ba tuần, tại Đại học Copenhagen (Đan Mạch) và Đại học Vanderbilt (Mỹ), cho thấy hai điểm yếu mà trường đại học nào cũng có: dữ liệu thật nằm trong môi trường thử nghiệm và hệ thống bị mã hóa đồng loạt khiến cả trường phải ngắt kết nối. Copenhagen xác nhận khoảng 525.000 người bị ảnh hưởng; ở Vanderbilt, nhóm BYOD tuyên bố lấy được dữ liệu nghiên cứu nhưng nhà trường chưa xác nhận. Bài này tóm tắt những gì đã được xác nhận và rút ra danh sách việc cần làm cho phòng CNTT, nhóm nghiên cứu và sinh viên tại Việt Nam.

Copenhagen: một lỗi cấu hình ở môi trường thử nghiệm

Theo trang thông tin chính thức của Đại học Copenhagen, bộ phận CNTT phát hiện tấn công ngày 20/10/2026 sau khi nhân viên thấy hoạt động bất thường. Kẻ tấn công lợi dụng lỗi cấu hình trong một môi trường thử nghiệm để truy cập cơ sở dữ liệu chứa thông tin người dùng. Nhà trường thừa nhận việc lưu một bộ dữ liệu như vậy ở môi trường thử nghiệm là sai lầm và đã xin lỗi.

Dữ liệu bị lộ gồm họ tên, thông tin liên lạc, tên đăng nhập, quốc tịch, giới tính, thông tin trực thuộc; với một phần người dùng còn có số định danh cá nhân CPR (được mã hóa, nhưng thông tin giải mã cũng bị lộ) và mã PIN thẻ ra vào. Người bị ảnh hưởng là sinh viên, nhân viên hiện tại và cũ. Trường cho biết hiện chưa có cơ sở để tin rằng dữ liệu nghiên cứu mật bị truy cập. BleepingComputer cho biết thêm khoảng 20.000 nhân viên, sinh viên bị lộ mã PIN, buộc trường hạn chế ra vào một số khu vực quan trọng cho tới khi phát mã mới.

Một chi tiết đáng suy nghĩ: trường thừa nhận một phần dữ liệu đã quá 30 năm và có dữ liệu được giữ lại mà không cần thiết, dù luật Đan Mạch chỉ yêu cầu lưu dữ liệu thi cử, văn bằng 30 năm. Dữ liệu không còn dùng nhưng vẫn nằm đó là dữ liệu chỉ mang lại rủi ro.

Vanderbilt: hệ thống phải khôi phục dần trong nhiều tuần

Malwarebytes ngày 11/11/2026 tổng hợp rằng nhóm ransomware BYOD nhận trách nhiệm vụ tấn công. Trong cập nhật tối 10/11, Vanderbilt cho biết Wi-Fi, Okta (vẫn bật xác thực đa yếu tố), email, Brightspace, Zoom và hệ thống đăng ký môn học đã dùng được, các hệ thống khác vẫn bị hạn chế, và khôi phục hoàn toàn "có thể mất vài tuần". Nhà trường đang xác định dữ liệu nào, nếu có, đã bị truy cập.

Phía BYOD tuyên bố đã mã hóa cơ sở dữ liệu, chiếm bộ điều khiển miền (domain controller), giữ cả bản sao lưu, và lấy hơn một triệu số an sinh xã hội cùng hồ sơ sinh viên, nhân viên và dữ liệu nghiên cứu. Đây là tuyên bố chưa được kiểm chứng. Tuy vậy, kịch bản "chiếm domain controller và bản sao lưu" là kịch bản tồi tệ nhất với bất kỳ trường nào, vì nó làm mất cả đường lui.

Tình hình ở Việt Nam có khác không

Trường đại học Việt Nam cũng dùng hệ thống đăng nhập tập trung, LMS, email chung một tài khoản; nhiều trường có môi trường thử nghiệm do sinh viên hoặc đơn vị ngoài phát triển, đôi khi sao chép nguyên dữ liệu thật để "test cho sát". Từ 1/1/2026, Luật Bảo vệ dữ liệu cá nhân có hiệu lực, nên một sự cố tương tự Copenhagen không chỉ là chuyện kỹ thuật mà còn là trách nhiệm pháp lý của cơ sở đào tạo. Trước đó, các vấn đề về cổng điểm, hệ thống quản lý học vụ đã được bàn trong bài bảo mật cổng thông tin quản lý điểm.

Việc phòng CNTT nhà trường nên làm ngay

1. Kiểm kê môi trường thử nghiệm: liệt kê mọi máy chủ dev, staging, bản demo; kiểm tra có dữ liệu thật không. Nếu cần dữ liệu giống thật, dùng dữ liệu giả lập hoặc đã ẩn danh.
2. Rà soát thời hạn lưu trữ: dữ liệu cựu sinh viên, hồ sơ tuyển sinh cũ, bản sao CCCD chỉ giữ theo thời hạn pháp luật và mục đích rõ ràng.
3. Tách bản sao lưu khỏi miền quản trị: ít nhất một bản sao lưu ngoại tuyến hoặc bất biến, tài khoản quản trị sao lưu không dùng chung với domain.
4. Bật xác thực đa yếu tố cho mọi tài khoản, ưu tiên tài khoản quản trị, giảng viên và tài khoản truy cập từ xa.
5. Diễn tập kịch bản ngắt mạng: nếu phải tắt hệ thống như Vanderbilt, kênh nào thông báo cho sinh viên, lịch thi xử lý ra sao.

Việc nhóm nghiên cứu tự làm được

Dữ liệu nghiên cứu thường nằm ngoài tầm kiểm soát của phòng CNTT: trên laptop cá nhân, ổ đám mây miễn phí, máy chủ phòng lab. Nhóm nghiên cứu nên:

• Lưu dữ liệu định danh người tham gia tách riêng khỏi dữ liệu phân tích, giữ khóa liên kết ở nơi khác.
• Có bản sao lưu theo quy tắc 3-2-1, trong đó một bản ngoại tuyến; hướng dẫn chi tiết có trong bài sao lưu dự phòng công trình nghiên cứu.
• Xóa bộ dữ liệu thô khi đề tài kết thúc theo cam kết với hội đồng đạo đức, thay vì để lại "phòng khi cần".
• Không dựng máy chủ thử nghiệm mở ra Internet bằng dữ liệu thật của người tham gia.

Sinh viên và giảng viên nên cảnh giác điều gì

Sau mỗi vụ lộ dữ liệu là làn sóng thư lừa đảo dùng chính thông tin bị lộ để tạo lòng tin: email giả phòng CNTT yêu cầu "đặt lại mật khẩu sau sự cố", tin nhắn giả mạo yêu cầu phê duyệt đăng nhập. Copenhagen khuyến cáo người dùng đặc biệt cảnh giác với cuộc gọi, tin nhắn hỏi mật khẩu và đổi mã PIN nếu đã dùng lại ở nơi khác. Với tài khoản trường tại Việt Nam, lời khuyên tương tự: không phê duyệt yêu cầu đăng nhập mà bạn không tự thực hiện, và bật xác thực hai lớp như hướng dẫn trong bài cấu hình 2FA cho Microsoft Teams.

Cả hai vụ đều chưa kết thúc điều tra. Điều đã rõ là không trường nào chọn được thời điểm bị tấn công, nhưng trường nào cũng chọn được lượng dữ liệu mình giữ lại và cách tách bản sao lưu ra khỏi tầm với của kẻ xâm nhập.